오프셋 독립 자격 증명 추출 도구
DeadMatter는 메모리 덤프에서 활성 로그온 세션의 비밀번호 해시와 같은 민감한 정보를 추출하기 위해 C#으로 작성된 특수 도구입니다. 이 도구는 카빙(carving) 기법을 사용하여 프로세스 또는 전체 메모리 덤프(raw 또는 minidump 형식), 압축 해제된 최대 절전 모드 파일, 가상 머신 메모리 파일, 또는 로그온 자격 증명을 포함할 수 있는 기타 유형의 파일 등 다양한 파일 유형에서 자격 증명을 검색합니다.
이 도구는 시스템 보안 취약점 분석을 용이하게 하고 디지털 포렌식 조사를 지원하므로, 침투 테스터, 레드 팀원, 포렌식 조사관에게 특히 유용합니다. DeadMatter는 침투 테스터와 레드 팀원이 업무 중 LSASS 프로세스 메모리를 minidump 형식으로 덤프하려는 시도를 EDR 및 AV 소프트웨어가 탐지하거나 차단하는 상황을 자주 처리해야 하기 때문에 매우 유용할 수 있습니다. 전체 메모리 덤프를 덤프하고 유출하는 대안은 종종 선택할 수 없습니다. 그 결과, DeadMatter는 이러한 공백을 메우고 공격 팀이 피해자 머신에서 직접 메모리 덤프 파일을 파싱하여 NTLM 해시, DPAPI 키 및 기타 유용한 정보를 즉석에서 추출할 수 있도록 하기 위해 만들어졌습니다.
이 도구는 Black Hat USA 2025 Arsenal에서 발표되었습니다.
Extract credentials from a full memory dump file in raw format using both Mimikatz structure and carving techniques
--------------------------------------------------------------------------------------------------------------
C:\> Deadmatter.exe -f memory_dump.raw
Extract credentials from a full memory dump file in raw format using carving techniques only
---------------------------------------------------------------------------------------
C:\> Deadmatter.exe -f memory_dump.raw -m carve
Identify the OS version based on the MSV structure details
----------------------------------------------------------
C:\> Deadmatter.exe -f memory_dump.raw -m none -i
Extract credentials from a minidump file using Windows 10 version 1507 Mimikatz structure technique with verbose output
----------------------------------------------------------------------------------------------------------------------
C:\> Deadmatter.exe -f lsass.dmp -m mimikatz -w WIN_10_1507 -v
Extract credentials and DPAPI keys from a full memory dump file in raw format and brute-force search for the IV
----------------------------------------------------------------------------------------------------------------------
C:\> Deadmatter.exe -f memory_dump.raw -b -d
DeadMatter는 MiniDump의 코드를 기반으로 하므로 cube0x0에게 특별히 감사드립니다.
테스트 인프라를 구축하고 Google Chrome 복호화 도구를 제공해 주신 theodoros997에게 특별히 감사드립니다.
다음 분들의 프로젝트와 훌륭한 작업에 감사드립니다. 이것들이 없었다면 우리 프로젝트는 불가능했을 것입니다.
DeadMatter는 어떠한 보증도 없이 "있는 그대로" 제공됩니다. 이 도구는 승인된 침투 테스트, 레드 팀 업무 또는 포렌식 조사 중에 자격을 갖춘 정보 보안 전문가만 사용하도록 의도되었습니다. DeadMatter 및 QSecure의 개발자는 이 도구의 오용이나 이를 통해 수행된 불법적이거나 악의적인 활동에 대해 어떠한 책임이나 의무도 지지 않습니다.